Nie wiesz, co masz, dopóki tego nie stracisz. Wirusy komputerowe uczą nas tej lekcji od dziesięcioleci. Niektóre całkowicie czyścią dyski twarde. Inne paraliżują sieci na wiele godzin. Jeszcze inne zamieniają Twój komputer w zombie, wykorzystując jego moc do wysyłania spamu lub atakowania innych systemów. Jeśli Twój komputer nigdy nie był zainfekowany, możesz pomyśleć, że problem jest przesadny. Ale prawdziwy koszt szkód jest wysoki. W 2008 r. Consumer Reports szacuje, że wirusy komputerowe kosztowały konsumentów szkody w wysokości 8,5 miliarda dolarów w ciągu jednego roku.
Są najsłynniejszym zagrożeniem w Internecie. Nie jedyny. Ale najbardziej rozpoznawalny.
Pomysł nie jest nowy. W 1949 roku John von Neumann teoretycznie uzasadnił możliwość stworzenia programu samokopiującego. Przemysł komputerowy istniał wówczas zaledwie przez około dekadę. Ktoś już wiedział, jak rozbić mechanizmy. Jednak minęły dziesięciolecia, zanim programiści znani jako hakerzy faktycznie stworzyli takie programy.
Wczesne wersje były głównie żartami na dużych systemach. Komputery osobiste zmieniły wszystko. Upublicznili groźbę. Fred Cohen, absolwent, jako pierwszy opisał te samoreplikujące się programy jako „wirusy”. Nazwa utknęła.
Na początku lat 80. ludzie wykonywali niezbędną pracę. Haker skopiował wirusa na dyskietkę, a następnie rozesłał go. Rozprzestrzenianie się było powolne. To było fizyczne. Modemy to zmieniły. Transfer danych nie był już wydarzeniem lokalnym. To stało się globalne. Dziś myślimy o rozprzestrzenianiu się wirusów za pośrednictwem Internetu. Załączniki do wiadomości e-mail. Naruszone łącza internetowe. Rozprzestrzeniają się szybciej niż kiedykolwiek.
Przyjrzyjmy się najgorszym przestępcom. Te, które paraliżowały systemy. Te, które zdefiniowały całą epokę.
Зміст
10: Melisa
Zacznijmy od końca listy od nazwy, która wciąż przywołuje wspomnienia wielu specjalistów IT.
Wirus #Melissa i ewolucja złośliwego oprogramowania komputerowego
David L. Smith nie tylko napisał kod w 1999 roku. Stworzył broń. Była wiosna i Smith stworzył wirusa makr dla programu Microsoft Word. Nazwał ją „Melissa” na cześć egzotycznej tancerki z Florydy. Cel był prosty: rozpowszechnić to. Zobacz, jak zyskuje na popularności.
Inżynieria społeczna była prymitywna, ale skuteczna. List nie wyglądał na spam. Było tam napisane: „Oto dokument, o który prosiłeś, nie pokazuj go nikomu innemu”. Ludzie je otworzyli. Zawsze to robili. Zaraz po uruchomieniu makra wirus się rozmnożył. Przechwyciło pierwszych 50 kontaktów z książki adresowej ofiary. Każdemu z nich wysłał swoje kopie. Następnie odbiorcy zrobili to samo. Reakcja łańcuchowa była natychmiastowa.
Jak rozprzestrzeniał się wirus Melissy
To nie była powolna, pełzająca infekcja. To był ogień. Rząd federalny Stanów Zjednoczonych zwrócił na to uwagę. Urzędnicy FBI powiedzieli później Kongresowi, że wirus „siał spustoszenie w sieciach sektora publicznego i prywatnego”. Serwery pocztowe się dławiły. Niektóre firmy nie miały innego wyjścia, jak tylko całkowicie zamknąć swoje programy pocztowe, aby przetrwać gwałtowny wzrost ruchu.
Smith pojawił się w sądzie. Przegrał. Wyrok brzmiał dwadzieścia miesięcy więzienia. Kara wynosiła 5000 dolarów. Sąd zakazał mu także dostępu do sieci komputerowych bez pozwolenia. Internet nie upadł. W rzeczywistości. Ale Melissa stała się pierwszym wirusem, który zwrócił uwagę opinii publicznej. Pokazał, że kod może wywołać prawdziwy chaos w realnym świecie.
Różne typy wirusów komputerowych
Aby zrozumieć Melissę, musisz poznać krajobraz złośliwego oprogramowania. Termin „wirus komputerowy” jest często używany w szerokim znaczeniu, ale ma specyficzne znaczenie techniczne.
- Wirusy komputerowe : Te programy zmieniają sposób działania komputera. Samoczynnie się replikują. Kluczową kwestią jest to, że wymagają hosta (hosta) – programu do uruchomienia. Melissa potrzebowała dokumentu Word jako gospodarz. Bez tego pliku wirus pozostawałby w stanie uśpienia.
- Robaki : W przeciwieństwie do wirusów robaki nie wymagają gospodarza. Są to samodzielne aplikacje. Rozmnażają się i przemieszczają niezależnie w sieciach komputerowych.
- Konie trojańskie : Przebierają się za coś innego. Trojan twierdzi, że robi jedną rzecz, ale robi co innego. Niektóre uszkadzają dyski twarde. Inni tworzą backdoory, umożliwiające zdalnym użytkownikom dostęp do systemu ofiary.
Tylko pokrótce poruszyliśmy podstawy. Następna sekcja dotyczy starszych zagrożeń. Ale najpierw przyjrzyjmy się wirusowi o „słodkiej” nazwie i okrutnym działaniu.
9: KOCHAM CIĘ
Minął zaledwie rok, odkąd wirus Melissa zapchał korporacyjne skrzynki odbiorcze, ale Internet już potrzebował nowego złoczyńcy. Tym razem zagrożenie nie pochodziło z dokumentu obsługującego makra. Pojawił się na Filipinach w postaci prawdziwego robaka. Niezależny program. Samoreplikujący się potwór, który nie wymagał pliku hosta do rozprzestrzeniania się. Został nazwany ILOVEYOU.
Jednak wektor ataku był znajomy. E-mail. Temat był uwodzicielski: list miłosny od tajemniczego wielbiciela. Inwestycją była broń. Nazwa pliku to LOVE-LETTER-FOR-YOU.TXT.vbs. Rozszerzenie .vbs zdradziło sedno. Wskazywało bezpośrednio na Visual Basic Scripting, język użyty przez hakera do stworzenia pułapki. Po kliknięciu pliku skrypt nie tylko otworzył dokument tekstowy. Zostało przeprowadzone.
McAfee później szczegółowo opisał skalę ataku. Robak zachował się agresywnie. Kopiował się wielokrotnie, umieszczając duplikaty w folderach na dysku twardym ofiary. Dodał nowe klucze do rejestru systemu Windows, zapewniając jego ukrytą, ale aktywną obecność. Zastępował niektóre typy plików własnymi kopiami, uszkadzając przy tym dane.
Na tym robak się nie skończył. Rozprzestrzeniał się poprzez klientów protokołu IRC (Internet Relay Chat), przeskakując od użytkownika do użytkownika w publicznych czatach. Ale prawdziwe szkody wyrządziło to, co pobierał.
Robak pobierał plik o nazwie WIN-BUGSFIX.EXE. Nazwa obiecywała stabilizację systemu. W rzeczywistości była to kradzież. Ten ukryty program kradł hasła. Przeskanowała zainfekowaną maszynę w poszukiwaniu poufnych informacji i wysłała je z powrotem do skrzynki pocztowej hakera.
Kto zatem pociągnął za spust? Większość wskazywała na Onela de Gumana, młodego programistę z Filipin. Władze wszczęły przeciwko niemu postępowanie pod zarzutem kradzieży. Pojawiła się jednak przeszkoda prawna. W tamtym czasie na Filipinach nie obowiązywały żadne szczególne przepisy zabraniające szpiegostwa komputerowego ani sabotażu cyfrowego. Bez podstawy prawnej i powołując się na niewystarczające dowody śledczy umorzyli sprawę. De Human nigdy nie przyznał się do winy. Ale on też temu nie zaprzeczył.
Koszt tej dwuznaczności jest zdumiewający. Szacunkowy koszt robaka ILOVEYOU na całym świecie wyniósł 10 miliardów dolarów. Nie chodzi tylko o utratę produktywności. Należą do nich ponowne uruchomienie systemu, odzyskiwanie danych i utrata zaufania do komunikacji cyfrowej.
Konsekwencje i kolejne zagrożenie
Era miłości dobiegła końca. Robak przeszedł do historii technologii, ale jego dziedzictwo pozostało. Pokazał, jak socjotechnika może ominąć techniczne zapory sieciowe. Pokazał, że ludzka ciekawość jest najsłabszym ogniwem w łańcuchu bezpieczeństwa.
Ale wirusy to nie jedyne zagrożenie. Istnieją również fałszywe historie o wirusach. To nie jest złośliwy kod. Nie rozmnażają się. Nie kradną danych. Są to fałszywe alerty, których celem jest wywołanie paniki wśród odbiorców. Twórcy mają nadzieję, że media i użytkownicy uznają tę fałszywkę za fakt.
Niebezpieczeństwo jest tutaj pośrednie, ale realne. Oto historia chłopca, który wołał wilka! Kiedy rozpowszechnia się fałszywa historia, ludzie mają dość ostrzeżeń. Zaczynają je ignorować. I wtedy pojawia się prawdziwe zagrożenie. I tym razem nikt nie słucha.
8: Wirus Klez
Wzór jest kontynuowany. W miarę zaostrzania środków bezpieczeństwa pojawiły się nowe warianty. Wirus Klez stał się jednym z najczęściej pojawiających się w sieci w kolejnych latach. Połączył propagację robaka z kamuflażem konia trojańskiego. Podobnie jak jego poprzednicy, polegał na tym, aby użytkownik wykonał pierwszy ruch. Kliknij załącznik. Zaufaj nadawcy. Otwórz plik.
Wirus Klez nie tylko zwiększył hałas w 2001 roku. Zmienił taktykę napastników.
Pojawił się pod koniec tego roku i pozostawał aktywny przez kilka miesięcy. Jego odmiany terroryzowały Internet. Podstawowy mechanizm był prosty, ale brutalny. Robak dostał się poprzez e-mail. Rozmnożył się. Następnie zeskanował książkę adresową ofiary. Wysłał kopie do wszystkich kontaktów na liście. Niektóre warianty zawierały bardziej niebezpieczne ładunki. Mogą spowodować, że komputer przestanie działać.
W zależności od wersji Klez zachowywał się inaczej. Czasami zachowywał się jak tradycyjny wirus. W innych przypadkach działał jako robak lub koń trojański. W jednym znanym przypadku mogło to spowodować wyłączenie oprogramowania antywirusowego. Może nawet maskować się jako narzędzie do usuwania wirusów. Oszustwo było częścią ataku.
Hakerzy szybko udoskonalili to podejście. Zmodyfikowali kod, aby poprawić wydajność. Kluczowym ulepszeniem jest funkcja fałszowania wiadomości e-mail.
Podobnie jak poprzednie robaki, wyodrębniał kontakty z Twojej książki adresowej. Nie użył jednak własnego adresu nadawcy. Wybrał losowe imię z listy. Nazwa ta została umieszczona w polu Od klienta pocztowego. Nazywa się to fałszowaniem. E-mail wygląda, jakby pochodził z zaufanego źródła. W rzeczywistości pochodzi od robaka.
Metoda ta służy dwóm różnym celom. Po pierwsze, komplikuje mechanizmy obronne. Blokowanie nadawcy w polu Od nie ma sensu. List nie pochodzi od tej osoby. Pochodzi z zainfekowanego komputera. Jeśli robak zaleje skrzynkę pocztową wieloma wiadomościami, odbiorcy nie będą w stanie określić prawdziwego źródła. Nie są w stanie zablokować realnego zagrożenia.
Po drugie, wykorzystuje psychologię. Ludzie rozpoznają imiona. Jeśli w polu „Od” znajduje się imię i nazwisko znajomego lub współpracownika, istnieje większe prawdopodobieństwo, że otworzy on załącznik. Zaufanie staje się wrażliwością.
Ochrona przed współczesnymi zagrożeniami
Posiadanie oprogramowania antywirusowego jest koniecznością. Równie ważna jest jej regularna aktualizacja. Ale jest zasada: używaj tylko jednego kompleksu ochronnego. Uruchamianie wielu programów antywirusowych powoduje konflikty. Wzajemnie przeszkadzają. Spowalnia to system i może pozostawić luki w zabezpieczeniach.
Niektóre godne uwagi opcje obejmują:
-Avast antywirusowy
-Antywirus AVG
-Kaspersky antywirus
– McAfee VirusScan
-Norton AntiVirus
Krajobraz 2001 roku był zatłoczony. W tym roku zadebiutowało kilka głównych wirusów. Taktyka szybko ewoluowała. Następny krok w tej chronologii wiąże się z innym rodzajem zagrożenia.
7: Kod Czerwony i Kod Czerwony II
Lato 2001 roku było nie tylko gorące. To było bezbronne.
Code Red i jego następca, Code Red II, trafiły do Internetu niczym fala uderzeniowa. Nie obchodziło ich, czy jesteś zwykłym użytkownikiem, czy administratorem serwera korporacyjnego. Jeśli korzystałeś z systemu Windows 2000 lub Windows NT, jesteś na celowniku.
Exploit był paskudny, ale prosty. Problem przepełnienia bufora. Systemy nie mogły przetworzyć zbyt dużej ilości przychodzących danych. Gdy bufor był pełny, dane przepływały do sąsiedniego obszaru pamięci. Zaczął się chaos.
Oryginalny robak Code Red miał specyficzny, niemal teatralny cel. Próbował przeprowadzić rozproszony atak typu „odmowa usługi” (DDoS) na Biały Dom. Wyobraź sobie tysiące zainfekowanych maszyn jednocześnie atakujących te same serwery internetowe. Przeciążali maszyny, aż do awarii. To był hałas. To był chaos. To było publiczne.
Code Red II był inny. Nie tylko wyłączał systemy. Przejmował kontrolę.
Problem z tylnymi drzwiami
Gdy maszyna z systemem Windows 2000 pobrała Code Red II, nie była już Twoja. Robak utworzył backdoor (tylne drzwi) w systemie operacyjnym. Zdalny dostęp był nie tylko możliwy; to było gwarantowane.
Jest to kompromis na poziomie systemowym. Osoba stojąca za wirusem mogła uzyskać dostęp do Twoich plików. Może wykorzystywać Twoją przepustowość. Mógłby nawet użyć twojego samochodu do popełnienia przestępstwa.
Pomyśl o tym przez chwilę. Nie masz do czynienia tylko z powolnym komputerem. Potencjalnie możesz być podejrzany o popełnienie przestępstwa, którego nie popełniłeś. Już sama odpowiedzialność wystarczy, aby pozbawić kogokolwiek snu.
Komputery z systemem Windows NT radziły sobie nieco lepiej, ale tylko przez przypadek. Wirusy spowodowały, że wylatywały częściej niż zwykle. To wszystko. Żadnych tylnych drzwi. Brak pilota. Jest po prostu dużo przestojów. W porównaniu z całkowitą utratą kontroli nad Windows 2000, awarie nie były aż tak poważne.
Łatka Pułapka
Microsoft działał szybko. Wydali poprawki oprogramowania, które usuwają luki w zabezpieczeniach systemów Windows 2000 i Windows NT. Po zainstalowaniu łat oryginalne robaki nie mogły już infekować nowych maszyn.
Ale jest pewien haczyk. Łatka nie usuwała wirusów z już zainfekowanych komputerów. Jeśli problem ten już Cię dotyczył, łatka nic nie pomogła. Trzeba było samemu wyczyścić system.
To stawia cię przed trudnym pytaniem. Co dokładnie robisz, gdy zorientujesz się, że Twoja maszyna została naruszona?
To zależy od wirusa. Wiele programów antywirusowych może całkowicie wyczyścić system. Jeśli wirus jest nadal w początkowej fazie, możesz mieć szczęście. Jeśli jednak wirus uszkodził pliki lub dane, konieczne będzie przywrócenie ich z kopii zapasowych.
Dlatego tworzenie kopii zapasowych informacji to coś więcej niż tylko porada. Jest to konieczność.
W przypadku robaków takich jak Code Red poleganie na prostym skanowaniu antywirusowym jest ryzykowne. Niektóre robaki umożliwiają pobranie na komputer innego złośliwego oprogramowania. Zakrywają ślady. Zostawiają ślady. Skanowanie standardowe może pominąć infekcje wtórne.
Najbezpieczniejszy krok jest często najbardziej radykalny. Całkowicie sformatuj dysk twardy. Zacznij z czystą kartą.
To bolesne. Tracisz ustawienia. Tracisz aplikacje. Trzeba wszystko ponownie zainstalować. Ale to jedyny sposób, aby mieć pewność, że tylne drzwi zostaną usunięte.
6: Nimda
Na początku 2001 roku w Internecie panował już chaos, ale robak Nimda zakłócił działanie systemów, które wszyscy uważali za bezpieczne. Sama nazwa stanowiła bezczelne nawiązanie do słowa „admin” pisanego od tyłu, co wskazywało na spustoszenie, jakiego dokonał, korzystając z przywilejów systemowych. To nie był kolejny błąd w systemie. Był to robak, który rozprzestrzeniał się szybciej niż ktokolwiek wcześniej widział.
Według Petera Tippetta, ówczesnego dyrektora ds. technologii w TruSecure, Nimda przeszła od zera do pełnych dzienników ataków w zaledwie 22 minuty. To nie jest literówka. Dwadzieścia dwie minuty. Stał się najszybciej rozprzestrzeniającym się wirusem komputerowym swoich czasów, ustanawiając standard szybkości, który do dziś przyprawia inżynierów ds. bezpieczeństwa o zawroty głowy.
Kierowanie na infrastrukturę
Choć z technicznego punktu widzenia Nimda mogła zainfekować domowy komputer, jej cele skupiały się na serwerach internetowych. Celem nie było tylko uszkodzenie plików osobistych. Należało zamienić infrastrukturę internetową w korek. Osiągnięto to za pomocą wielu wektorów dystrybucji, w tym załączników do wiadomości e-mail i udostępnień online. To wielowektorowe podejście pozwoliło mu przeskakiwać między serwerami z rekordową szybkością, ograniczając przepustowość i zatrzymując legalny ruch.
Pułapka eskalacji uprawnień
Tutaj Nimda wykazał się przebiegłością i tu leżało jego prawdziwe niebezpieczeństwo. Robak instalował backdoora w systemie operacyjnym ofiary. Jednak poziom dostępu, jaki zapewniał, zależał całkowicie od tego, kto był zalogowany w momencie infekcji.
Jeśli robak został uruchomiony przez zwykłego użytkownika z ograniczonymi uprawnieniami, atakujący uzyskałby ograniczony dostęp. Nie idealnie, ale do opanowania. A co jeśli infekcja została zainicjowana przez administratora? Napastnik uzyskał pełną kontrolę. Pełny dostęp do roota. Ta dynamika oznaczała, że Nimda nie tylko się rozprzestrzeniała; skalował swoją moc w zależności od hierarchii sieci, którą zaatakował.
Rozproszona odmowa usługi (DDoS) spowodowana zaniedbaniem
Ogromny ruch generowany przez replikację robaka i działania backdoorów zadziałał jako rozproszony atak typu „odmowa usługi” (DDoS). Aby to zrobić, nie potrzebował struktury poleceń botnetu. Sam robak zużywał zasoby systemowe, powodując załamanie się systemów sieciowych pod ciężarem własnej replikacji. Był to wywołany przez siebie atak DDoS, który zniszczył duże sieci bez żadnej zewnętrznej koordynacji.
Zadzwoń przez telefon: wirusy poza komputerem
Nie wszystkie zagrożenia cyfrowe żyją na komputerach stacjonarnych lub serwerach. Krajobraz złośliwego oprogramowania rozszerzył się na urządzenia przenośne i nośniki danych, co udowadnia, że jeśli urządzenie ma chip i połączenie, może zostać naruszone. W tej erze pojawiły się wirusy, których celem była nowa fala technologii mobilnych.
- CommWarrior: Robak celowo atakujący smartfony z systemem operacyjnym Symbian. Do dystrybucji wykorzystywał Bluetooth i SMS, wykorzystując wczesną zależność od parowania bezprzewodowego.
- Wirus Skulls: Wirus ten, występujący także na telefonach z systemem Symbian, miał charakter bardziej psychologiczny niż funkcjonalny. Przejął ekran główny, zastępując go obrazem czaszki zamiast preferowanego przez użytkownika interfejsu.
- RavMonE.exe: Niezwykłe zagrożenie, które infekowało odtwarzacze iPod MP3 wydane między 12 września 2006 r. a 18 października 2006 r. Przekształciło odtwarzacz muzyczny w wektor złośliwego kodu.
- Preinstalowane zagrożenia: W marcu 2008 r. Fox News poinformowało, że niektóre gadżety elektroniczne opuszczały fabrykę z wbudowanymi wirusami. Przede wszystkim nie musieli się rozprzestrzeniać; czekali, aż zsynchronizujesz urządzenie z komputerem, aby móc przeskoczyć płot.
Te przenośne wirusy pokazały, że bezpieczeństwo nie polega już tylko na ochronie zapory ogniowej. To było
Wczesne godziny późnego stycznia 2003 roku zmieniły sposób, w jaki Internet postrzegał swoją własną lukę. Nowy robak rozprzestrzeniał się po serwerach internetowych w zastraszającym tempie. Większość sieci nie miała przed tym zabezpieczenia. Rezultatem był chaos. Bankomaty Bank of America nie działają. Systemy wysyłkowe 911 w Seattle nie działają. Continental Airlines odwołały loty z powodu awarii infrastruktury elektronicznej odprawy.
Atakujący był znany jako SQL Slammer lub Sapphire.
Szacunki finansowe szacują, że szkody wyniosły ponad 1 miliard dolarów, zanim łaty i wykrywacze antywirusowe zdołały nadrobić zaległości w rozprzestrzenianiu się robaka. Szybkość rozprzestrzeniania się była niemal niezrozumiała. W ciągu kilku minut od zarażenia pierwszego celu liczba ofiar Slammera podwajała się co kilka sekund. Do piętnastej minuty zainfekował prawie połowę głównych serwerów DNS w Internecie.
Lekcja szybkości
Slammer dał surową lekcję. Samo posiadanie najnowszych poprawek i oprogramowania antywirusowego nie wystarczy. Hakerzy polują na niezałatane luki w zabezpieczeniach, zwłaszcza te, które nie są powszechnie znane. Nie można po prostu walczyć z wirusami. Potrzebujesz planu na najgorszy scenariusz. Kiedy nastąpi katastrofa, redundancja (redundancja) jest ważniejsza niż zapobieganie.
Kwestia czasu
Niektóre złośliwe oprogramowanie są zaprojektowane w trybie uśpienia. Pozostają uśpione na komputerze ofiary do momentu aktywacji ich ładunku (złośliwego kodu) w określonym dniu. Historia oferuje kilka przerażających przykładów cyfrowych bomb zegarowych:
- Wirus jerozolimski usunął dane w piątek 13-go.
- Wirus Michelangelo został aktywowany 6 marca 1992 roku, w dniu urodzin artysty.
- Wirus w Czarnobylu uderzył 26 kwietnia 1999 r., w 13. rocznicę awarii reaktora.
- Wirus Nyxem usuwał pliki trzeciego dnia każdego miesiąca.
Wirusy te wykorzystują strach. Sprawiają, że użytkownicy czują się bezradni i bezbronni. Ale w Slammerze nie chodziło tylko o czas. Chodziło o prędkość. Kolejny rozdział tej cyfrowej sagi paniki przyniósł nowy poziom osobistej ingerencji.
4: MójDoom
MyDoom, znany również jako Novarg, był czymś więcej niż tylko irytacją. Był to robak, który zainstalował trwałego backdoora w systemie operacyjnym. Oryginalny szczep i jego liczne warianty opierały się na dwóch specyficznych wyzwalaczach kontrolujących ich zachowanie. Jeden zespół przeprowadził atak typu „odmowa usługi” (DoS) 1 lutego 2004 r. Inny nakazał robakowi zaprzestanie rozprzestrzeniania się 12 lutego. Nawet po zaprzestaniu dystrybucji te tylne drzwi pozostały otwarte. Szkoda już została wyrządzona.
W drugiej połowie tego roku druga fala mocno uderzyła w kilka firm zajmujących się wyszukiwarkami. MyDoom działał w taki sam sposób, jak wielu jego braci: skanował komputery ofiar w poszukiwaniu adresów e-mail, aby zapewnić replikację. Ale poszedł dalej. Wysyłał także zapytania do wyszukiwarek i zbierał adresy znalezione w wynikach wyszukiwania. W rezultacie zainfekowane maszyny wygenerowały strumień milionów żądań. Google i inne firmy zaobserwowały, że ich usługi stają się bardzo powolne lub całkowicie zawieszają się pod ciężarem tego ruchu.
Robak rozprzestrzeniał się za pośrednictwem poczty elektronicznej i sieci peer-to-peer. W szczytowym okresie firma MessageLabs informowała, że jedna na 12 wiadomości e-mail zawierała wirusa. Podobnie jak wirus Klez, MyDoom fałszował adresy nadawców, przez co śledzenie źródła infekcji było prawie niemożliwe.
Dziwne wirusy
Nie każdy wirus ma na celu awarię sprzętu lub zniszczenie sieci. Niektóre po prostu sprawiają, że komputery zachowują się dziwnie. Weźmy ping-ponga, wczesny przykład, który wyświetlał animację odbijającej się piłki na ekranie. Nie spowodowało to poważnych uszkodzeń. Są też „programy komiksowe”. Mogą Cię przekonać, że Twój komputer jest zainfekowany, ale same w sobie są nieszkodliwymi aplikacjami. Nie rozmnażają się samodzielnie. Jeśli nie masz pewności, jakie programy działają w Twoim systemie, pozwól, aby oprogramowanie antywirusowe je usunęło.
Następnie przyjrzymy się kilku wirusom stworzonym przez tego samego hakera: Sassera i Netsky’ego.
Większość autorów złośliwego oprogramowania unika złapania. Pozostawiają cyfrowe ślady, które znikają, zanim ktokolwiek zauważy. Czasem jednak pozostają ślady. Dokładnie to samo stało się z robakami Sasser i Netsky. Obaj wywodzili swoje pochodzenie z tego samego źródła: Svena Jaschana, 17-letniego mieszkańca Niemiec.
Dwa różne robaki. Jeden twórca.
Analitycy bezpieczeństwa zauważyli podobieństwa w strukturach kodu. To był ślad w składni. Efektem był rzadki moment, w którym władzom udało się dotrzeć do źródła cyfrowej epidemii.
Jak Sasser zaatakował Windows
Robak Sasser nie korzystał z konwencjonalnych metod. Brak załączników w wiadomości e-mail. Żadnych sztuczek socjotechnicznych. Wykorzystał specyficzną lukę w systemie Microsoft Windows.
Kiedy już znalazł się w systemie, jego logika była brutalnie prosta. Robak skanował losowe adresy IP. Znalazł inne podatne systemy. Nakazał im pobranie kopii wirusa.
Prawdziwe szkody nie dotyczyły tylko dystrybucji. Miał odmowę świadczenia usług. Robak zmodyfikował system operacyjny, uniemożliwiając normalne zamknięcie. Jedynym sposobem na powstrzymanie chaosu było odcięcie prądu. Komputery zamieniały się w „cegiełki” do czasu wyczerpania się baterii lub wyciągnięcia przewodu z gniazdka.
Przepływ poczty elektronicznej Netsky
Netsky postąpił inaczej. Rozprzestrzeniał się za pośrednictwem poczty elektronicznej i sieci Windows. Fałszował adresy, aby wyglądały na prawdziwe. Został ukryty w załączniku o wielkości 22 016 bajtów.
Uderzenie było natychmiastowe i głośne. Gdy systemy załamywały się pod ciężarem ruchu, sieć stała się celem ataków typu „odmowa usługi”. Głośność była zdumiewająca.
Przez pewien czas badacze z Sophos szacowali, że Netsky i jego warianty stanowiły 25 procent wszystkich wirusów komputerowych w Internecie. To ogromna część globalnego szumu cyfrowego.
Sprawiedliwość dla nieletniego
Yashan uniknął więzienia. Rezultatem nie była cela więzienna. Otrzymał rok i dziewięć miesięcy w zawieszeniu.
System prawny traktował go odmiennie ze względu na jego wiek. Fakt, że w chwili aresztowania nie miał ukończonych 18 lat, oznaczał, że nie mógł być sądzony jako osoba dorosła przed niemieckimi sądami. Kara była łatwiejsza. Jednak lekcja była jasna.
Nie tylko Windows
Skupiliśmy się na złośliwym oprogramowaniu komputerowym. Windows dominuje na rynku komputerów stacjonarnych, więc ma to sens. Ale komputery Macintosh nie są na to odporne. Domyślnie nie są bezpieczne.
Następna sekcja ujawni pierwszego wirusa atakującego specjalnie system Mac OS. Krajobraz się zmienia.
Kim są hakerzy z czarnym kapeluszem?
W baśniach są dobre i złe czarownice. W rzeczywistości istnieją dobrzy i źli hakerzy.
Termin określający złośliwego aktora to czarny kapelusz. To hakerzy, którzy tworzą wirusy. To oni naruszają bezpieczeństwo. Wykorzystują słabe punkty w celach przestępczych, a nie w celu dokonywania odkryć.
Gromadzą się na konferencjach takich jak Black Hat czy Defcon. To właśnie podczas tych wydarzeń branża omawia wpływ tych zagrożeń. W tym miejscu wyjaśniają, w jaki sposób wykorzystują luki w zabezpieczeniach do popełniania przestępstw.
Leap-A i Oompa-A
Być może pamiętacie tę starą reklamę Apple. Justin Long gra zrelaksowanego faceta siedzącego obok komputera Johna Hodgmana, który jest spocony i zainfekowany wirusami. Przesłanie było proste: w systemie Windows istnieje ponad 100 000 zagrożeń. A co z Macem? Niewiele.
Jest to w większości prawda. Bezpieczeństwo poprzez tajemnicę pozwoliło użytkownikom Apple spać spokojnie. Apple kontroluje zarówno sprzęt (chipy), jak i oprogramowanie. Ten zamknięty ekosystem oznaczał, że hakerzy mieli mniejszą motywację do pisania kodu dla niszowego rynku. Jeśli piszesz wirusa, po co celować w markę drugorzędną, skoro możesz zaatakować większość?
Jednak reputacja „bezpieczeństwa” zaczęła się łamać w 2006 roku. Wirus Leap-A (znany również jako Oompa-A) udowodnił, że jest inaczej. Dotarł do komputera Mac za pośrednictwem iChat. Przeskanował twoją listę kontaktów. Wysłał fałszywy obraz JPEG. Nie spowodowało to większych szkód, ale wystarczyło, aby pokazać, że drzwi są otwarte.
Gdy komputery Mac przejęły rodzimy rynek, podążyli za nimi hakerzy. Wyspecjalizowane złośliwe oprogramowanie zaczęło atakować rosnącą bazę użytkowników Apple. Być może postać Hodgmana mimo wszystko zemści się.
Ale nie jesteśmy tu po to, żeby rozmawiać o słabszych. Jesteśmy na dole listy. Pierwsze miejsce. Taki, który naprawdę trafił na pierwsze strony gazet z właściwych powodów.
Przełomowa piosenka
Wyjaśnijmy sobie jedną rzecz: histeria mediów często przewyższa rzeczywiste szkody. Weźmy wirusa Michelangelo. Odbiło się to szerokim echem w prasie. Rzeczywiste szkody? Minimum. To był raczej żart niż katastrofa.
Ten absurd zainspirował nawet piosenkę Weirda Al Yankovica Virus Alert. Ostrzega w nim przed „Stinky Cheese”, fikcyjnym złośliwym oprogramowaniem, które wymazuje twój dysk twardy, zmusza do słuchania Jethro Tull i legalnie zmienia twoje imię na Reggie.
To śmieszne, bo absurdalne. Prawdziwe wirusy nie są tak teatralne. Są ciche. Są wytrwali. A pierwszy na naszej liście jest ten, który udowodnił, jak łatwo można nami manipulować.
1: Robak burzowy
Robak Storm nie tylko przedostał się do środka. Wtargnął na bramę.
Dlaczego po latach pozostaje to aktualne? Ponieważ położył podwaliny pod inżynierię społeczną, którą widzimy dzisiaj. Do penetracji nie wykorzystywano wyrafinowanego exploita dnia zerowego. Polegał na tym, że otworzysz list.
Robak rozprzestrzeniał się poprzez załączniki do wiadomości e-mail podszywające się pod doniesienia prasowe. Nagłówki o wojnach, klęskach żywiołowych lub skandalach korporacyjnych. Widzisz temat listu. Czujesz pilność. Naciskasz.
Po wejściu do środka stworzył botnet. Ogromna sieć zainfekowanych komputerów współpracujących ze sobą. Nie chodziło tylko o usuwanie plików. Chodziło o kontrolę. Robak Storm umożliwiał atakującym wysyłanie spamu, przeprowadzanie ataków DDoS i kradzież danych z milionów maszyn jednocześnie.
Pokazał, że najsłabszym ogniwem bezpieczeństwa nie jest kod. To jest mężczyzna. Możesz mieć najlepszą zaporę sieciową na świecie, ale jeśli Twój pracownik kliknie łącze phishingowe, ponieważ martwi się najnowszymi wiadomościami, gra się kończy.
Robak Storm nauczył nas, że złośliwe oprogramowanie to nie tylko problem techniczny. Jest to problem psychologiczny. I dopóki ludzie będą odczuwać pilność, ciekawość lub strach, skrzynka pocztowa pozostanie na pierwszej linii frontu wojny.
Co dalej? Krajobraz się zmienił. Urządzenia mobilne, infrastruktura chmurowa, urządzenia Internetu Rzeczy. Powierzchnia ataku jest większa niż kiedykolwiek. Ale metoda często pozostaje taka sama.
Widzisz link. Kliknij na to. Zastanawiasz się, dlaczego po tygodniu Twój komputer zachowuje się dziwnie.
To nie magia. To są po prostu złe decyzje opakowane w wiadomości.
Robak Storm i ewolucja złośliwego oprogramowania
Robak Storm pojawił się pod koniec 2006 roku, zaskakując ekspertów ds. bezpieczeństwa. Opinia publiczna nadała mu ponurą nazwę po zobaczeniu w temacie e-maili frazy „230 osób zginęło w wyniku szalejącej burzy w Europie”. Firmy antywirusowe używały dla tego własnych oznaczeń. Symantec nazwał go Peacomm, a McAfee nazwał go Nuwar. Ten chaos nazewniczy nie był niczym nowym. Wirus z 2001 roku nosił także nazwę W32.Storm.Worm. Nie myl ich. To są zupełnie różne programy.
Wariant z 2006 roku jest koniem trojańskim. Nie tylko reprodukuje się, ale także dostarcza ładunek. Obciążenie to różni się w zależności od wersji. Czasami zmienia komputer użytkownika w zombie, a czasami tworzy bota. Po zainfekowaniu komputer staje się podatny na zdalną kontrolę. Napastnicy stojący za atakiem mogą teraz kontrolować samochód. Wykorzystują te zainfekowane systemy do tworzenia botnetu. Ta sieć zainfekowanych komputerów wysyła spam przez Internet.
Główną pracę wykonuje tu inżynieria społeczna. Robak nakłania ofiary do pobrania złośliwej aplikacji. Ukrywa się za fałszywymi linkami do artykułów informacyjnych lub filmów. Napastnicy są sprytni. Aktualizują tematy wiadomości e-mail, aby odzwierciedlić bieżące wydarzenia. Tuż przed Igrzyskami Olimpijskimi w Pekinie w 2008 roku pojawiły się nowe wersje. Tematy obejmowały „najnowszą śmiertelną katastrofę w Chinach” lub „najbardziej śmiercionośne trzęsienie ziemi w Chinach”. Kliknięcie linku nie spowodowało otwarcia artykułu prasowego. Aktywowało to pobieranie robaka.
Skala była ogromna. Kilka serwisów informacyjnych i blogów uznało ten atak za jeden z najgorszych ataków wirusów w ostatnich latach. Do lipca 2007 r. firma Postini zgłosiła zarejestrowanie ponad 200 milionów wiadomości e-mail zawierających łącza do robaka Storm. Rejestracja trwała kilka dni. Dobra wiadomość? Nie każdy list prowadził do infekcji. Ale sama głośność przyprawiała o ból głowy.
Pomimo szerokiego rozpowszechnienia robak Storm nie jest najtrudniejszy do wykrycia. Usunięcie go też nie jest koszmarem. Aktualizuj swoje oprogramowanie antywirusowe. To jest poziom podstawowy. Uważaj na e-maile od nieznanych nadawców. Ignoruj dziwne linki. Zrób to, a unikniesz poważnych problemów.
Beyond Storm: zrozumienie typów złośliwego oprogramowania
Wirusy komputerowe to tylko jeden podzbiór złośliwego oprogramowania. Istnieją inne typy, o których musisz wiedzieć. Oprogramowanie szpiegowskie i oprogramowanie reklamowe są wspólnymi kuzynami.
Oprogramowanie szpiegowskie działa w cieniu. Szpieguje to, co użytkownik robi ze swoim komputerem. Powszechną taktyką jest rejestrowanie naciśnięć klawiszy. Rejestruje każde naciśnięcie klawisza. Cel? Znajdź kody logowania i hasła. Oprogramowanie reklamowe jest bardziej zauważalne. Wyświetla reklamy podczas korzystania z dużych aplikacji, takich jak przeglądarka internetowa. Ale nie zawsze jest to nieszkodliwe. Niektóre programy reklamowe zawierają kod zapewniający reklamodawcom szeroki dostęp do prywatnych informacji.
Granica między irytacją a zagrożeniem zaciera się tutaj.
